g-docweb-display Portlet

Anagrafe tributaria: prescrizioni su sicurezza e accessi - proroga dei termini - 26 marzo 2009 [1605576]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1605576]

Anagrafe tributaria: prescrizioni su sicurezza e accessi - Proroga dei termini - 26 marzo 2009

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Filippo Patroni Griffi, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

VISTO il provvedimento del 18 settembre 2008 con il quale il Garante, all´esito di accertamenti condotti in loco, ha prescritto all´Agenzia delle entrate una serie di misure e accorgimenti necessari al fine di porre rimedio alle carenze riscontrate e a incrementare i livelli di sicurezza degli accessi all´anagrafe tributaria da parte dei soggetti esterni all´amministrazione finanziaria, fornendo riscontro a questa Autorità circa la loro attuazione al decorso dei termini ivi stabiliti;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Francesco Pizzetti;

PREMESSO:

L´Agenzia delle entrate, con la nota del 19 dicembre 2008, ha comunicato all´Autorità le iniziative intraprese e le attività svolte al fine di adempiere alle prescrizioni impartite con il provvedimento del 18 settembre 2008 e individuate nei punti da a) a e) del relativo dispositivo.

In particolare, l´Agenzia ha dichiarato di aver costituito un gruppo di lavoro al fine di valutare l´impatto delle misure prescritte dal Garante anche sotto il profilo organizzativo, dal punto di vista dello sviluppo tecnologico e in termini di impegno di risorse economiche; ciò anche tenendo conto dell´esigenza di dover costantemente garantire la continuità dei propri servizi anche agli enti che utilizzano l´anagrafe tributaria.

L´Agenzia ha inoltre illustrato le caratteristiche del progetto volto a realizzare gli interventi richiesti dal Garante, il quale tiene conto dell´evoluzione dei sistemi informatici secondo la modalità della cooperazione applicativa.

Più precisamente, l´Agenzia ha rappresentato di avere scelto, nell´ambito della propria autonomia organizzativa, di dismettere progressivamente l´applicativo Siatel a favore di Puntofisco, concentrando quindi principalmente su quest´ultimo gli interventi di rafforzamento delle misure di sicurezza; entro il 30 aprile 2009, verranno implementate in Puntofisco le residuali funzionalità attive allo stato solo su Siatel, ad eccezione di quelle di aggiornamento e allineamento anagrafico. La completa migrazione di tutte le utenze dell´applicativo Siatel verso Puntofisco sarà completata entro il 30 marzo 2010. L´Agenzia ha rappresentato inoltre di voler realizzare, entro il 30 aprile 2009, nelle more dell´adeguamento alle prescrizioni del provvedimento del Garante, un c.d. "Mini-Siatel" per le attività di aggiornamento e allineamento anagrafico dei comuni da utilizzare nel corso della predetta migrazione degli enti da Siatel a Puntofisco. Entro il 30 luglio 2009, tale applicativo verrà implementato sulla piattaforma architetturale già utilizzata da Puntofisco, ereditando tutte le misure di sicurezza ivi implementate.

L´Agenzia ha dichiarato, altresì, che il "Mini-Siatel", nel periodo transitorio, verrà dotato dei seguenti accorgimenti al fine di renderne l´utilizzo più controllato e sicuro:

a) il server web di "MiniSiatel" implementerà il protocollo HTTPS tramite certificato digitale rilasciato da un´Autorità di certificazione ufficiale e riconosciuta;

b) accesso tramite codice identificativo, senza l´utilizzo del codice fiscale;

c) evidenza, nella prima schermata, dei dettagli dell´ultimo accesso effettuato;

d) limitazione oraria del servizio;

e) consolle di amministrazione con evidenza dei privilegi posseduti dagli utenti;

f) tracciamento delle attività verso il sistema Vermont.

Con riferimento al ruolo svolto dagli amministratori locali, nonostante il Garante nel provvedimento del 18 settembre 2008 abbia prescritto che "l´amministratore locale dell´ente esterno che accede all´anagrafe tributaria deve rimanere il punto di riferimento per le richieste di abilitazione e autorizzazione con la possibilità di gestire direttamente le utenze", l´Agenzia, ritenendo particolarmente critica tale attività, ha ritenuto di istituire un´apposita unità per la gestione dell´abilitazione degli enti esterni a cui affidare l´abilitazione di tutte le nuove utenze e il recupero della password in caso di errori ripetuti o scadenza.

Riguardo agli accessi all´anagrafe tributaria mediante l´applicativo "3270 enti esterni", l´Agenzia ha proposto di dismettere tale collegamento in favore di Puntofisco, anche attraverso una modalità di accesso basata sull´identità federata riservata agli utenti del Ced interforze.

Alla luce della complessità della realizzazione del progetto e considerato anche il numero di soggetti esterni all´amministrazione finanziaria coinvolti, nella medesima nota è stato richiesto dall´Agenzia di poter usufruire di una proroga di gran parte dei termini prescritti dal Garante.

Nell´ambito dell´istruttoria effettuata in ordine alla predetta richiesta di proroga, sono state approfondite, in particolare, le problematiche derivanti dall´attuazione delle prescrizioni del provvedimento in ordine ai profili generali relativi agli accessi all´anagrafe tributaria da parte dei soggetti esterni all´amministrazione finanziaria, alla sicurezza dei sistemi di autenticazione, alle abilitazioni e autorizzazioni degli utenti, nonché ai sistemi utilizzati (rispettivamente lett. a), b), c) e d) del dispositivo del provvedimento del 18 settembre 2008).

Con la nota del 19 dicembre 2008, così come precisato nelle successive note del 25 febbraio e del 18 marzo 2009, anche alla luce di alcune riflessioni effettuate nell´ambito di un ulteriore confronto con l´Ufficio, l´Agenzia, con riferimento alle prescrizioni così come individuate nel dispositivo del provvedimento del 18 settembre 2008, ha:

1. dichiarato di aver realizzato le seguenti prescrizioni:

  • lett. c), I), ad esclusione dell´individuazione delle soglie, e II) secondo punto, per quanto riguarda l´elaborazione dei modelli;
  • lett. e), I);

2. richiesto la proroga dei termini previsti con riferimento alle seguenti prescrizioni:

  • lett. a), I), primo punto: al 30 giugno 2009 (3 mesi di proroga);
  • lett. a), I), secondo punto: al 30 marzo 2010 (12 mesi di proroga);
  • lett. b), I), primo punto: al 30 marzo 2009 (3 mesi di proroga);
  • lett. b), I), secondo e terzo punto: al 28 febbraio 2009 (2 mesi di proroga);
  • lett. b), II): al 30 aprile 2009 (1 mese di proroga);
  • lett. c), I), quinto punto: al 30 marzo 2009 (3 mesi di proroga);
  • lett. c), II), primo punto: al 30 aprile 2009 (1 mese di proroga);
  • lett. d), I), primo punto: al 30 marzo 2009 (3 mesi di proroga);
  • lett. d), I), secondo e terzo punto, relativamente alla scadenza della password: al 30 gennaio 2009 (1 mese di proroga);
  • lett. d), I), terzo punto, relativamente all´identificazione del singolo incaricato: al 30 settembre 2009 (9 mesi di proroga);
  • lett. d), II), primo punto: al 30 giugno 2009 (3 mesi di proroga);
  • lett. d), II), secondo punto: al 30 maggio 2009 (2 mesi di proroga);

3. confermato di poter adempiere nei termini alle restanti prescrizioni di cui ai punti:

  • lett. a), II);
  • lett. d), III);
  • lett. e), II).

OSSERVA:

Con il provvedimento del 18 settembre 2008, il Garante ha rilevato alcune criticità relative agli accessi all´anagrafe tributaria da parte degli enti esterni all´amministrazione finanziaria, attinenti alla sicurezza e a profili concernenti aspetti sostanziali del trattamento.

L´Autorità ha quindi prescritto all´Agenzia delle entrate, previo un apposito confronto, di adottare una serie di misure e accorgimenti necessari al fine di porre rimedio alle carenze riscontrate e a incrementare i livelli di sicurezza degli accessi all´anagrafe tributaria da parte dei soggetti esterni all´amministrazione finanziaria, fornendo riscontro a questa Autorità circa la loro attuazione al decorso dei medesimi termini.

Il Garante prende positivamente atto dei notevoli sforzi di carattere organizzativo ed economico posti in essere dall´Agenzia, e illustrati nella documentazione agli atti, volti a dare attuazione al predetto provvedimento.

Come sopra evidenziato, l´Agenzia ha dichiarato di aver già adottato alcuni accorgimenti prescritti fornendo riscontro al Garante (v. il punto 1). Al riguardo, preso atto delle dichiarazioni fornite dall´Agenzia al Garante (art. 168 del Codice), l´Autorità si riserva in altra sede l´accertamento in ordine all´idoneità delle misure introdotte a seguito delle prescrizioni impartite con il provvedimento del 18 settembre 2008.

Si rileva, tuttavia, che con le note sopra evidenziate l´Agenzia ha rappresentato la necessità di usufruire di una proroga dei termini soprattutto con riferimento alla verifica e all´inibizione degli accessi effettuati al di fuori dei presupposti stabiliti nelle convenzioni così come riformulate alla luce delle prescrizioni del Garante. Ciò, anche in conseguenza alle autonome scelte compiute da parte dell´Agenzia in ordine alla dismissione dell´applicativo Siatel a favore di Puntofisco e alle nuove modalità accentrate di abilitazione degli utenti che comportano un maggiore investimento di risorse.

In particolare, nelle note del 25 febbraio e del 18 marzo 2009, l´Agenzia ha precisato che l´accurato riesame e il puntuale aggiornamento (o rinegoziazione) delle convenzioni stipulate con i circa 9000 enti esterni potrà essere completato solo nel marzo 2010, e non nel ben più breve termine di sei mesi (indicato nel predetto provvedimento) o di nove mesi (ipotizzato dalla stessa Agenzia nella nota del 19 dicembre 2008).

Anche con riferimento alle misure di sicurezza, l´Agenzia ha dichiarato che "gli accessi effettuati dalle utenze di tutti gli enti esterni saranno perciò conformi a quanto prescritto dal Garante solo al termine delle attività di migrazione da Siatel a Puntofisco" che, per ciascun ente, avverranno alla stipula della nuova convenzione, ovvero entro marzo 2010.

Di conseguenza, si rileva che tale notevole dilazione richiesta dall´Agenzia riguarda in particolare i controlli sulla liceità e correttezza degli accessi e il superamento delle criticità riscontrate in ordine all´utilizzo dell´applicativo Siatel (a parte quanto previsto relativamente all´attività anagrafica dei comuni da svolgersi attraverso il Mini-Siatel).

Pertanto, sulla base degli elementi esposti nelle note sopra citate e limitatamente ai profili ivi indicati, anche in considerazione delle motivate scelte organizzative dell´Agenzia, si ritiene di poter accogliere la richiesta di proroga dei termini per l´attuazione delle prescrizioni impartite entro i nuovi termini individuati così come riportati al precedente punto 2.

Parimenti, risulta in linea con il necessario incremento dei livelli di sicurezza negli accessi la nuova soluzione proposta dall´Agenzia per le attività di aggiornamento e allineamento anagrafico dei comuni da realizzarsi attraverso il c.d. "Mini-Siatel" (da attuarsi, nella prevista fase transitoria, entro il termine del 30 luglio 2009).

In tale quadro, nelle more dell´attuazione da parte dell´Agenzia delle prescrizioni dell´Autorità entro i nuovi termini richiesti, si ritiene necessario individuare nuove specifiche garanzie, in relazione all´utilizzo dell´applicativo Siatel, volte a prevenire usi impropri e illeciti delle informazioni contenute in anagrafe tributaria in tale periodo transitorio.

Occorre, quindi, che venga comunque verificata l´attualità di tutte le utenze in uso presso gli enti abilitati ad accedere all´anagrafe tributaria con l´ausilio dell´applicativo Siatel.

A tal fine l´Agenzia:

- deve assicurare che gli enti, attraverso i propri amministratori locali (soggetti deputati alla gestione delle utenze), accertino, sotto la propria responsabilità, l´attualità di ciascuna delle utenze attive, anche in relazione alle finalità per cui è stata attribuita, inibendo gli accessi (autorizzazioni o abilitazioni) effettuati al di fuori dei presupposti riconducibili all´art. 19 del Codice (norme di legge o regolamento, nonché eventuali comunicazioni al Garante ai sensi dell´art. 19 del Codice) e quelli non conformi a quanto stabilito nelle convenzioni, e forniscano riscontro, anche telematico, di tale verifica all´Agenzia entro il 30 giugno 2009;

- nel caso in cui non riceva il suddetto riscontro, a partire dal 1° ed entro il 31 luglio 2009, deve disattivare tutte le utenze Siatel degli enti, diverse da quelle degli amministratori locali, avvisando gli enti medesimi che, prima di procedere all´eventuale riattivazione degli utenti attraverso i propri amministratori locali, dovranno effettuare, sotto la propria responsabilità, la verifica di cui al punto precedente.

A tal proposito, quindi, l´Agenzia -entro il 30 aprile 2009- deve informare gli enti abilitati ad accedere all´anagrafe tributaria con l´ausilio dell´applicativo Siatel, anche in via telematica, attraverso gli amministratori locali degli stessi, indicando i canali e le modalità prescelte per la ricezione del predetto riscontro delle verifiche effettuate.

Per quanto riguarda gli enti abilitati ad accedere all´anagrafe tributaria mediante l´applicativo "3270 enti esterni", verificati i presupposti di legittimità, occorre invece che l´Agenzia assicuri entro il nuovo termine del 30 giugno 2009 la migrazione verso l´applicativo Puntofisco in modalità di accesso tradizionale, che offre idonee garanzie. Si ritiene che la realizzazione di una modalità di accesso a Puntofisco in ottica di identità federata sia invece, allo stato, adeguata soltanto per quanto riguarda gli utenti del Ced interforze, struttura già oggetto di specifici accertamenti da parte del Garante.

Con riferimento ai web service (punto 7 della nota dell´Agenzia del 18 marzo 2009), risulta tuttora necessario ribadire che tali servizi -ancorché realizzati attraverso un "framework di sicurezza in ottica di identità federata"- devono essere configurati limitando i risultati delle interrogazioni a valori di tipo booleano (cfr. provvedimento del 18 settembre 2008, punto d),  II)).

Si rappresenta inoltre, anche ai fini dell´applicazione delle eventuali sanzioni (artt. 162, comma 2-ter e 170 del Codice), che l´adempimento delle prescrizioni deve essere puntualmente documentato al Garante entro i nuovi termini sopra indicati al punto 2, per quanto riguarda la richiesta di proroga e, rispettivamente, entro il 30 aprile  e 31 luglio 2009 per le nuove garanzie per gli enti che utilizzano il sistema Siatel. Resta fermo il necessario adempimento e il relativo riscontro al Garante di quanto già prescritto nel provvedimento del 18 settembre 2008 entro i termini non prorogati.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell´art. 154, comma 1, lett. c) del Codice, preso atto della richiesta formulata dall´Agenzia delle entrate con la nota del 19 dicembre 2008, e precisata nelle successive note del 25 febbraio e 18 marzo 2009, dispone che:

1) le prescrizioni impartite con il provvedimento del 18 settembre 2008, relative le misure e gli accorgimenti così come individuate nel relativo dispositivo, siano prorogate come segue:

  • lett. a), I), primo punto: al 30 giugno 2009 (3 mesi di proroga);
  • lett. a), I), secondo punto: al 30 marzo 2010 (12 mesi di proroga);
  • lett. b), I), primo punto: al 30 marzo 2009 (3 mesi di proroga);
  • lett. b), I), secondo e terzo punto: al 28 febbraio 2009 (2 mesi di proroga);
  • lett. b), II): al 30 aprile 2009 (1 mese di proroga);
  • lett. c), I), quinto punto: al 30 marzo 2009 (3 mesi di proroga);
  • lett. c), II), primo punto: al 30 aprile 2009 (1 mese di proroga);
  • lett. d), I), primo punto: al 30 marzo 2009 (3 mesi di proroga);
  • lett. d), I), secondo e terzo punto, relativamente alla scadenza della password: al 30 gennaio 2009 (1 mese di proroga);
  • lett. d), I), terzo punto, relativamente all´identificazione del singolo incaricato: al 30 settembre 2009 (9 mesi di proroga);
  • lett. d), II), primo punto: al 30 giugno 2009 (3 mesi di proroga);
  • lett. d), II), secondo punto: al 30 maggio 2009 (2 mesi di proroga);

2) l´Agenzia, nelle more della migrazione di tutte le utenze dell´applicativo Siatel a Puntofisco e dell´aggiornamento o della rinegoziazione delle nuove convenzioni (prevista alla data del 30 marzo 2010):

- deve assicurare che gli enti, attraverso i propri amministratori locali (soggetti deputati alla gestione delle utenze), accertino, sotto la propria responsabilità, l´attualità di ciascuna delle utenze attive, anche in relazione alle finalità per cui è stata attribuita, inibendo gli accessi (autorizzazioni o abilitazioni) effettuati al di fuori dei presupposti riconducibili all´art. 19 del Codice (norme di legge o regolamento, nonché eventuali comunicazioni al Garante ai sensi dell´art. 19 del Codice) e quelli non conformi a quanto stabilito nelle convenzioni, e forniscano riscontro, anche telematico, di tale verifica all´Agenzia entro il 30 giugno 2009;

- nel caso in cui non riceva il suddetto riscontro entro il termine del 30 giugno 2009, a partire dal 1° ed entro il 31 luglio 2009, deve disattivare tutte le utenze Siatel degli enti diverse da quelle in uso agli amministratori locali, avvisando gli enti medesimi che, prima di procedere all´eventuale riattivazione degli utenti attraverso i propri amministratori locali, dovranno effettuare, sotto la propria responsabilità, la verifica di cui al punto precedente.

3) l´Agenzia, entro il 30 aprile 2009, deve informare gli enti destinatari della prescrizione di cui al punto precedente anche in via telematica anche attraverso gli amministratori locali degli stessi, indicando i canali e le modalità prescelte per la ricezione del predetto riscontro delle verifiche effettuate;

4) l´Agenzia, entro il 30 aprile 2009, deve realizzare il c.d. "Mini-Siatel" per le attività di aggiornamento e allineamento anagrafico dei comuni con le caratteristiche tecniche individuate in premessa; tale applicativo deve essere implementato sulla piattaforma architetturale già utilizzata da Puntofisco entro il 30 luglio 2009;

5) l´Agenzia può predisporre una modalità di accesso a Puntofisco in ottica di identità federata esclusivamente per quanto riguarda gli utenti del Ced interforze;

6) l´adempimento delle prescrizioni deve essere, di volta in volta, puntualmente documentato dall´Agenzia a questa Autorità nei medesimi termini indicati con modalità idonee a consentirne un effettivo riscontro.

Roma, 26 marzo 2009

IL PRESIDENTE
Pizzetti

IL RELATORE
Pizzetti

IL SEGRETARIO GENERALE
Patroni Griffi

Scheda

Doc-Web
1605576
Data
26/03/09

Argomenti


Tipologia

Prescrizioni del Garante


Vedi anche (10)